Przełączanie użytkownika za pomocą "sudo su - username" przy użyciu kluczy SSH

Question

Próbowałem użyć klawiszy ssh, aby móc przełączać się z jednego użytkownika na drugiego na tej samej maszynie/serwerze Linux przy użyciu sudo su - username.

Co chcę zrobić, to: Mam kilka kont na jednym serwerze. Chcę zablokować te konta passwd -l username, i umożliwić dostęp tylko z kluczy SSH, przez ssh-ing od jednego użytkownika do drugiego na tym samym komputerze, np: [user1@server]$ ssh user2@server

Zrobiłem to przez skopiowanie klucza publicznego z user1 do pliku z user2 i działa dobrze.

Ale inne rzeczy, które chciałbym zrobić, to móc sudo su - user2 z user1, używając klawiszy ssh, więc mogę uniknąć monitowania hasła.

np [user1@server]$ sudo su - user2

Mam zmodyfikowany plik sshd_config, odkomentowane pola:

RSAAuthentication yes 
PubkeyAuthentication yes 
AuthorizedKeysFile .ssh/authorized_keys 
PasswordAuthentication no 

ale nadal nie jestem w stanie to zrobić.

Próbowałem także tego, co znalazłem w Internecie w związku z przekazywaniem agentów, ale nic.

Czy ktoś może mi pomóc, jak to zrobić, lub wskazać mi właściwy kierunek?

Answer 1

sudo nie ma nic wspólnego z konfiguracją SSH i sshd.

Co naprawdę chcesz, to moduł PAM, który będzie używał kluczy publicznych SSH. Nie jestem pewien, jakie są twoje powody, bo cały pomysł wydaje się nieco dziwny, ale dobrze. pam_ssh to moduł, który to robi.

Answer 2

Aby sudo pracować bez podawania haseł do innego użytkownika są wymagane zmiany (wykonać je z super dostępu użytkownika):

Edycja/etc/sudoers

visudo 

Config zmienia

# Allow user to sudo su as anyone without password 
user ALL=(ALL)  NOPASSWD: ALL 
%group ALL=(ALL)  NOPASSWD: ALL 

# Allow user to become another user 
user ALL=(user2) NOPASSWD: ALL 
%group ALL=(user2) NOPASSWD: ALL 

teraz z tym ostatnim sudo su - użytkownik2 powinien pracować

The Jedyną przeszkodą był użytkownika mają być dodane do sudo

usermod -a -G sudo user 

Powyższe przykłady w konfiguracji pokazuje użytkownik najpierw następnie grupę - należy jedynie 1 z dwóch -

Zmieniano:

visudo 

%group2 ALL=(ALL:ALL) PASSWD: ALL 
%group1 ALL=(ALL:ALL) NOPASSWD: ALL 

grupa run Dodaj

groupadd group1 
groupadd group2 

więc dla użytkowników wymagających hasła

usermod -a -G group2 user1 
usermod -a -G group2 user2 
etc.. 

dla użytkowników, którzy nie wymagają hasła:

usermod -a -G group nuser1 
usermod -a -G group nuser2 
etc